Sécurité et confiance
Qui exploite IBANforge, où tourne l'API, ce qu'elle garde et combien de temps, et ce que nous n'avons pas. Chaque fait renvoie au document ou à la vérification qui le prouve.
Vérifié le 6 octobre 2026. Les documents contractuels font foi, pas ce résumé.
- Exploitant
- Raison individuelle, Suisse
- Région de l'API
- Amsterdam (UE)
- IBAN envoyés
- Non conservés
- Préavis avant un arrêt
- Six mois, clients payants
Qui exploite IBANforge
IBANforge est une raison individuelle de droit suisse, exploitée par Claude-Alain Martin.
IBANforgeClaude-Alain Martin
Rue de l'Eglise 23
1045 Ogens
Suisse
- Non inscrite au registre du commerce : une raison individuelle suisse ne doit s'inscrire qu'à partir de 100 000 francs de chiffre d'affaires annuel (art. 931 du Code des obligations).
- Non assujettie à la TVA suisse.
- Une personne construit et exploite le service. Il n'y a pas d'employé.
- Contact : support@ibanforge.com
Où tourne le service
Chaque ligne se vérifie de l'extérieur, avec la commande à côté.
API
Railway, région d'Amsterdam (Pays-Bas, UE). Le trafic suisse entre par le nœud réseau de Railway à Zurich.
Vérifier
curl -sI https://api.ibanforge.com/health | grep -i x-railway-edgeL'en-tête x-railway-edge nomme le nœud d'entrée le plus proche de vous (zrh1 depuis la Suisse). La région d'Amsterdam elle-même n'est pas visible de l'extérieur.
Site et tableau de bord
Vercel. Ses fonctions tournent dans la région de Francfort (Allemagne, UE) ; les pages statiques sont servies par le réseau mondial de Vercel.
Vérifier
curl -sI https://ibanforge.com/legal/dpa | grep -i x-vercel-idDans l'en-tête x-vercel-id, la partie qui suit le premier :: est la région où la fonction a tourné : fra1 est Francfort. La première partie est le nœud d'entrée le plus proche de vous.
Courriel, DNS et sauvegardes
Infomaniak, Suisse. Un serveur y garde aussi les sauvegardes nocturnes de l'état des comptes.
Vérifier
dig +short NS ibanforge.comLes serveurs de noms sont ceux d'Infomaniak.
Ce que nous gardons, et combien de temps
- Les IBAN envoyés à la validation
- Non conservés. Traités en mémoire pour répondre à la requête.
- Un IBAN invalide
- Ses 4 premiers caractères seulement (code pays et chiffres de contrôle), avec les métadonnées de la requête, 12 mois au plus.
- Métadonnées de requête : chemin, statut, durée, heure, agent utilisateur, préfixe de clé
- 12 mois, puis effacées automatiquement. L'adresse IP n'est gardée que sous forme d'empreinte salée.
- Journal de bord de l'hébergeur de l'API : adresse IP brute, chemin de la requête, statut, agent utilisateur, heure
- 7 jours, tenu et effacé par Railway, hors de nos propres journaux.
- Un fichier envoyé à l'audit de fichier
- Seulement son rapport annoté : 2 heures s'il n'est pas payé, 24 heures après le paiement.
- Votre adresse e-mail, si vous en donnez une
- Tant que votre clé existe. Effacée du registre actif sur demande ; les sauvegardes qui la contiennent encore expirent dans les 90 jours.
- Sauvegardes de l'état des comptes : clés en empreintes, adresses e-mail, quotas, crédits, achats
- Chaque nuit sur un serveur d'Infomaniak en Suisse, 30 jours de copies ; copies mensuelles sur un ordinateur de l'exploitant en Suisse, les trois dernières gardées. Aucun IBAN envoyé à la validation, aucun journal des requêtes. La restauration est testée.
Envoyez les IBAN dans le corps d'une requête POST
POST /v1/iban/validate, /v1/iban/batch et /v1/iban/compliance prennent l'IBAN dans le corps JSON. Ne mettez jamais un IBAN dans une URL : le journal de bord de notre hébergeur enregistre le chemin de la requête.
Sous-traitants
Qui traite des données pour nous, où, et sur quelle base les données quittent la Suisse et l'UE. Inscriptions au Data Privacy Framework vérifiées sur le registre officiel le 5 octobre 2026.
Railway Corp.
Hébergement et stockage de l'API
- Région
- Amsterdam (UE)
- Reçoit les IBAN envoyés ?
- Oui, en mémoire, pour répondre à la requête
- Base du transfert
- Data Privacy Framework UE-USA et Suisse-USA, actif (Railway Corporation)
Vercel Inc.
Site et tableau de bord ; les saisies du terrain d'essai sont relayées à l'API
- Région
- Fonctions : Francfort (UE). Pages statiques : réseau mondial
- Reçoit les IBAN envoyés ?
- Seulement un IBAN saisi dans le terrain d'essai du site
- Base du transfert
- Data Privacy Framework UE-USA et Suisse-USA, actif (Vercel Inc.)
Stripe Payments Europe
Paiements par carte
- Région
- UE
- Reçoit les IBAN envoyés ?
- Non
- Base du transfert
- Établi dans l'UE. Sa société liée américaine Stripe, LLC : Data Privacy Framework UE-USA et Suisse-USA, actif
Coinbase (facilitateur CDP)
Règlement en USDC des paiements x402 ; le facilitateur x402.org sert de secours
- Région
- États-Unis
- Reçoit les IBAN envoyés ?
- Non
- Base du transfert
- Data Privacy Framework UE-USA et Suisse-USA, actif (Coinbase, Inc.)
Infomaniak Network SA
Courriels transactionnels et support ; sauvegarde nocturne de l'état des comptes
- Région
- Suisse
- Reçoit les IBAN envoyés ?
- Seulement un IBAN que vous nous écrivez dans un courriel
- Base du transfert
- Suisse : décision d'adéquation de la Commission européenne
GitHub Inc.
Code source public et CI, aucune donnée client
- Région
- États-Unis
- Reçoit les IBAN envoyés ?
- Non
- Base du transfert
- Data Privacy Framework UE-USA et Suisse-USA, actif (GitHub)
Anthropic PBC
Aide à la rédaction des réponses aux courriels, lancée par l'exploitant
- Région
- États-Unis
- Reçoit les IBAN envoyés ?
- L'API ne lui envoie jamais d'IBAN ; seulement un IBAN que vous nous écrivez dans un courriel
- Base du transfert
- Pas certifié au Data Privacy Framework. Clauses contractuelles types du Data Processing Addendum d'Anthropic
| Sous-traitant | Rôle | Région | Reçoit les IBAN envoyés ? | Base du transfert |
|---|---|---|---|---|
| Railway Corp. | Hébergement et stockage de l'API | Amsterdam (UE) | Oui, en mémoire, pour répondre à la requête | Data Privacy Framework UE-USA et Suisse-USA, actif (Railway Corporation)Fiche du registre |
| Vercel Inc. | Site et tableau de bord ; les saisies du terrain d'essai sont relayées à l'API | Fonctions : Francfort (UE). Pages statiques : réseau mondial | Seulement un IBAN saisi dans le terrain d'essai du site | Data Privacy Framework UE-USA et Suisse-USA, actif (Vercel Inc.)Fiche du registre |
| Stripe Payments Europe | Paiements par carte | UE | Non | Établi dans l'UE. Sa société liée américaine Stripe, LLC : Data Privacy Framework UE-USA et Suisse-USA, actifFiche du registre |
| Coinbase (facilitateur CDP) | Règlement en USDC des paiements x402 ; le facilitateur x402.org sert de secours | États-Unis | Non | Data Privacy Framework UE-USA et Suisse-USA, actif (Coinbase, Inc.)Fiche du registre |
| Infomaniak Network SA | Courriels transactionnels et support ; sauvegarde nocturne de l'état des comptes | Suisse | Seulement un IBAN que vous nous écrivez dans un courriel | Suisse : décision d'adéquation de la Commission européenneDocument |
| GitHub Inc. | Code source public et CI, aucune donnée client | États-Unis | Non | Data Privacy Framework UE-USA et Suisse-USA, actif (GitHub)Fiche du registre |
| Anthropic PBC | Aide à la rédaction des réponses aux courriels, lancée par l'exploitant | États-Unis | L'API ne lui envoie jamais d'IBAN ; seulement un IBAN que vous nous écrivez dans un courriel | Pas certifié au Data Privacy Framework. Clauses contractuelles types du Data Processing Addendum d'AnthropicDocument |
Un nouveau sous-traitant est annoncé au moins 30 jours avant de recevoir des données personnelles, par courriel à l'adresse de chaque clé active et dans le changelog ; le DPA vous permet de vous y opposer.
La même liste, avec les mêmes bases, forme l'annexe II de l'accord de traitement des données. DPA
Transferts depuis l'UE
IBANforge est établi en Suisse. La Commission européenne reconnaît à la Suisse un niveau de protection adéquat (décision 2000/518/CE) et l'a confirmé lors de son réexamen du 15 janvier 2024 : des données personnelles peuvent nous être transmises depuis l'UE sans clauses contractuelles types.
Pour les sous-traitants américains qui y sont certifiés, les transferts reposent sur le Data Privacy Framework UE-USA (décision d'exécution (UE) 2023/1795 de la Commission) et, depuis la Suisse, sur le Swiss-US Data Privacy Framework, en vigueur depuis le 15 septembre 2024.
Sécurité
Chaque pull request lance les tests automatisés dans GitHub Actions (API, site, SDK) et démarre le conteneur de production, comme chaque changement que l'exploitant pousse sur la branche principale. Les actualisations automatiques des données publient sans cette suite et font d'abord leurs propres contrôles : celles des BIC et des registres tchèque et italien lancent les tests de l'API et comparent les nouvelles données aux précédentes ; celle, hebdomadaire, des données de conformité vérifie que la couverture annoncée par l'API correspond aux nouvelles listes.
Exécutions de la CILe code est public, sous licence MIT : chacun peut lire comment un IBAN est traité.
Code sourceLes clés d'API sont stockées sous forme d'empreintes SHA-256. Une clé qui vient d'être émise est aussi gardée une fois pour être récupérée, puis effacée à la première récupération ou au plus tard après 7 jours.
Tout le trafic est chiffré. Les clients actuels négocient TLS 1.3, le HTTP simple est redirigé vers HTTPS, et les deux hôtes envoient HSTS.
Pour signaler une vulnérabilité, écrivez à support@ibanforge.com avec SECURITY dans le sujet. Le même canal figure dans le fichier security.txt des deux hôtes (RFC 9116) et dans notre politique de sécurité.
Dependabot surveille les dépendances et ouvre les mises à jour de sécurité en pull requests publiques.
Disponibilité, dite franchement
La page de statut publie le taux de réussite de l'API sur 7 et 30 jours, calculé depuis notre journal des requêtes côté serveur.
Page de statutLes abonnements Editor/OEM ont un SLA écrit : 99,5 % de disponibilité par mois civil, avec crédits de service.
SLAUne sonde extérieure, sur un serveur d'Infomaniak en Suisse, appelle l'API et le site chaque minute et alerte l'exploitant. Ses résultats ne sont pas publiés.
L'API tourne en une seule instance avec un volume persistant, dans une seule région. Chaque mise à jour, y compris les actualisations automatiques des données, la redémarre, et les requêtes qui arrivent pendant la bascule attendent ou échouent. Railway le documente pour tout service avec volume ; nous avons observé des bascules de moins d'une minute à près de cinq minutes. La page de statut ne peut pas compter ces requêtes, car elles n'atteignent jamais l'API.
Documentation de RailwayD'où viennent les données
Là où un registre national est consulté, la réponse vient de lui et le nomme, avec sa date : la Deutsche Bundesbank pour l'Allemagne, SIX BankMaster pour la Suisse et le Liechtenstein, les banques nationales d'Autriche, de Belgique, de Tchéquie et de Slovaquie, entre autres. Ailleurs, une carte BIC composite répond, et la réponse dit qu'elle ne fait pas foi.
Là où un éditeur pose des conditions, elles sont respectées dans la réponse elle-même ; les éditeurs qui nous ont donné une autorisation écrite figurent sur la page des sources.
Environ deux tiers des lignes de notre annuaire BIC viennent d'une copie publique de l'annuaire SWIFT dont les données datent de janvier 2018 et ne sont plus mises à jour. Nous le disons sur la page des sources et dans le point de santé de l'API ; là où un registre national répond, il l'emporte.
Si IBANforge s'arrêtait
Chaque client payant (abonnés Pro, détenteurs de packs de crédits, clients Editor/OEM) est prévenu au moins six mois avant l'arrêt, par courriel et dans les conditions d'utilisation, et aucun renouvellement n'est facturé pour le mois de l'arrêt. Pour une clé gratuite, le préavis avant que nous y mettions fin est d'au moins 30 jours.
Conditions d'utilisation, §3 et §9Le code est publié sous licence MIT, et le cœur de validation est un paquet MIT distinct sur npm (ibanforge).
Le code de l'API peut tourner sur vos propres serveurs. Les fichiers de données du dépôt restent soumis aux conditions de leurs éditeurs (fichier NOTICE), et les données que nous pouvons servir mais pas redistribuer, comme les registres autrichien, belge et saint-marinais, ne sont pas dans le dépôt : une copie exploitée ailleurs répond « non consulté » pour elles.
Fichier NOTICECe que nous n'avons pas
- Pas de certification ISO 27001 ni SOC 2.
- Pas d'équipe : une personne construit et exploite le service.
- Pas de seconde région ni d'instance de secours (voir Disponibilité).
Les mesures de cette page sont ce que nous faisons à la place, et chacune se vérifie.
Les documents
Le DPA est pré-signé ; un PDF contresigné est disponible sur demande à support@ibanforge.com. Il prévoit des audits, y compris une inspection, une fois par année civile au plus et avec 30 jours de préavis, lorsque les documents ne suffisent pas.